Implementación de Microsoft Defender para punto de conexión en macOS con Microsoft Intune

Utiliza Microsoft Intune para desplegar Microsoft Defender para punto de conexión en dispositivos gestionados de macOS. Crea los perfiles de configuración necesarios, despliega la aplicación y el paquete de incorporación, y verifica el despliegue. Antes de empezar, revisa los requisitos previos y los requisitos del sistema.

Los procedimientos de este artículo requieren Microsoft Intune. Intune es un producto separado que no forma parte de Defender para Endpoint, y no está incluido en todas las suscripciones. Necesitas una suscripción que incluya Intune, o puedes comprarlo por separado. Para información sobre licencias, consulte Microsoft Intune licencias. Para comparar este método con Jamf Pro, otra solución de gestión de dispositivos móviles, o despliegue manual, consulta Deploy Defender for Endpoint en macOS.

Requisitos previos y requisitos del sistema

Antes de empezar, revisa los requisitos previos de Defender para Endpoint en macOS, incluyendo el producto, administrador, sistema, permisos y requisitos de red. Para capacidades del producto y verificación de despliegue compartido, véase Microsoft Defender para punto de conexión en macOS.

Descripción general de la implementación

La siguiente tabla resume los perfiles y paquetes utilizados para desplegar Defender for Endpoint en macOS con Intune.

Creación de perfiles de configuración del sistema

Crea los perfiles de configuración del sistema que Microsoft Defender para punto de conexión necesita.

La mayoría de los pasos de esta sección utilizan un perfil de configuración personalizado de macOS. Para instrucciones detalladas, consulta Añadir ajustes personalizados a dispositivos Apple en Microsoft Intune (el enlace se abre en una nueva pestaña).

Cuando un paso te indique crear un perfil de configuración personalizado, en la pestaña de Políticas de la página de Dispositivos | Configuración en el centro de administración de Microsoft Intune en https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, seleccionando Crear>nueva política, utiliza estas configuraciones habituales:

• Plataforma: seleccione macOS.
• Tipo de perfil: seleccione Plantillas.
• Nombre de la plantilla: Seleccionar personalizado.

En el asistente personalizado, configura los siguientes ajustes:

• Pestaña Configuración: Utiliza las opciones de configuración específicas del perfil descritas en cada paso correspondiente.
• Pestaña de asignaciones : Asigna el perfil a los grupos de usuarios o dispositivos que deberían recibirlo. También puedes añadir etiquetas de alcance y excluir grupos de la tarea.

Paso 1: Aprobar extensiones del sistema

Utiliza el catálogo de ajustes de Intune para aprobar las extensiones del sistema necesarias. Para obtener instrucciones detalladas, consulta Aprobar las extensiones de macOS de Microsoft Defender para punto de conexión mediante el catálogo de configuraciones de Intune.

En el asistente Crear perfil, configura los siguientes ajustes en la pestaña Configuración de valores:

• Configuración >del sistemaExtensiones> del sistema Extensiones del sistema permitidas:
  • Extensiones del sistema permitidas: Add com.microsoft.wdav.epsext y com.microsoft.wdav.netext.
  • Identificador de equipo: escriba UBF8T346G9.
• Configuración >del sistemaExtensiones> del sistema Tipos de extensiones del sistema permitidas:
  • Tipos de extensión del sistema permitidos: Añadir Network y EndpointSecurity.
  • Identificador de equipo: escriba UBF8T346G9.

Paso 2: Filtro de red

Defender for Endpoint utiliza la extensión de red para la inspección de contenido de red. El perfil de filtro de red permite que la extensión inspeccione el tráfico de sockets.

Descarga netfilter.mobileconfig desde el repositorio de perfiles de configuración de macOS de Defender for Endpoint.

Crea un perfil de configuración personalizado utilizando los ajustes comunes descritos en Crear perfiles de configuración de sistema. Utiliza estos ajustes específicos de perfil:

• Básico pestaña:
  • Nombre: escriba un nombre descriptivo, como macOS network filter.
• pestaña Configuración:
  • Nombre del perfil de configuración: Introduce un nombre descriptivo para el perfil.
  • Canal de despliegue: Seleccionar canal de dispositivo.
  • Archivo de perfil de configuración: Selecciona el netfilter.mobileconfig archivo que descargaste.

Paso 3: Acceso completo al disco

Descarga fulldisk.mobileconfig desde el repositorio de perfiles de configuración de macOS de Defender for Endpoint.

Crea un perfil de configuración personalizado utilizando los ajustes comunes descritos en Crear perfiles de configuración de sistema. Utiliza estos ajustes específicos de perfil:

• pestaña Básico:
  • Nombre: escriba un nombre descriptivo, como macOS full disk access.
• pestaña Configuración:
  • Nombre del perfil de configuración: Introduce un nombre descriptivo para el perfil.
  • Canal de despliegue: Seleccionar canal de dispositivo.
  • Archivo de perfil de configuración: Selecciona el fulldisk.mobileconfig archivo que descargaste.

Paso 4: Servicios en segundo plano

Descarga background_services.mobileconfig desde el repositorio de perfiles de configuración de macOS para Defender for Endpoint.

Crea un perfil de configuración personalizado utilizando los ajustes comunes descritos en Crear perfiles de configuración de sistema. Utiliza estos ajustes específicos de perfil:

• pestaña Básico:
  • Nombre: escriba un nombre descriptivo, como macOS background services.
• pestaña Configuración:
  • Nombre del perfil de configuración: Introduce un nombre descriptivo para el perfil.
  • Canal de despliegue: Seleccionar canal de dispositivo.
  • Archivo de perfil de configuración: Selecciona el background_services.mobileconfig archivo que descargaste.

Paso 5: Notificaciones

Este perfil permite que Defender for Endpoint y Microsoft AutoUpdate muestren notificaciones.

Descarga notif.mobileconfig desde el repositorio de perfiles de configuración de macOS de Defender for Endpoint.

Para ocultar notificaciones de los usuarios, cambia ShowInNotificationCenter de true a false para la aplicación correspondiente en notif.mobileconfig.

Crea un perfil de configuración personalizado utilizando los ajustes comunes descritos en Crear perfiles de configuración de sistema. Utiliza estos ajustes específicos de perfil:

• Básico pestaña:
  • Nombre: escriba un nombre descriptivo, como macOS notifications consent.
• pestaña Configuración:
  • Nombre del perfil de configuración: Introduce un nombre descriptivo para el perfil.
  • Canal de despliegue: Seleccionar canal de dispositivo.
  • Archivo de perfil de configuración: Selecciona el notif.mobileconfig archivo que descargaste.

Paso 6: Configuración de accesibilidad

Este perfil otorga permiso de accesibilidad al com.microsoft.dlp.daemon componente.

Descarga accessibility.mobileconfig desde el repositorio de perfiles de configuración de macOS de Defender for Endpoint.

Crea un perfil de configuración personalizado utilizando los ajustes comunes descritos en Crear perfiles de configuración de sistema. Utiliza estos ajustes específicos de perfil:

• pestaña Básico:
  • Nombre: escriba un nombre descriptivo, como macOS accessibility settings.
• pestaña Configuración:
  • Nombre del perfil de configuración: Introduce un nombre descriptivo para el perfil.
  • Canal de despliegue: Seleccionar canal de dispositivo.
  • Archivo de perfil de configuración: Selecciona el accessibility.mobileconfig archivo que descargaste.

Paso 7: Permisos Bluetooth (opcionales)

Descarga bluetooth.mobileconfig desde el repositorio de GitHub.

Crea un perfil de configuración personalizado utilizando los ajustes comunes descritos en Crear perfiles de configuración de sistema. Utiliza estos ajustes específicos de perfil:

• Pestaña Conceptos básicos:
  • Nombre: escriba un nombre descriptivo, como macOS Bluetooth consent.
• pestaña Configuración:
  • Nombre del perfil de configuración: Introduce un nombre descriptivo para el perfil.
  • Canal de despliegue: Seleccionar canal de dispositivo.
  • Archivo de perfil de configuración: Selecciona el bluetooth.mobileconfig archivo que descargaste.

Paso 8: Microsoft AutoUpdate

Este perfil configura Microsoft AutoUpdate para actualizar Defender para Endpoint. Selecciona uno de los siguientes canales de actualización:

• Beta
• Preview
• Current

Para obtener más información, consulte Implementación de actualizaciones para Microsoft Defender para punto de conexión en macOS.

Descarga com.microsoft.autoupdate2.mobileconfig desde el repositorio de configuración de Microsoft AutoUpdate.

Crea un perfil de configuración personalizado utilizando los ajustes comunes descritos en Crear perfiles de configuración de sistema. Utiliza estos ajustes específicos de perfil:

• pestaña Aspectos básicos:
  • Nombre: escriba un nombre descriptivo, como macOS Microsoft AutoUpdate.
• pestaña Configuración:
  • Nombre del perfil de configuración: Introduce un nombre descriptivo para el perfil.
  • Canal de despliegue: Seleccionar canal de dispositivo.
  • Archivo de perfil de configuración: Selecciona el com.microsoft.autoupdate2.mobileconfig archivo que descargaste.

Paso 9: opciones de configuración de Microsoft Defender para punto de conexión

Configura políticas antimalware y EDR utilizando el portal de Microsoft Defender en el paso 9a o el centro de administración de Microsoft Intune en el paso 9b.

9a. Establecer políticas en el portal de Microsoft Defender

Si tu organización gestiona las políticas de seguridad de endpoints en el portal Microsoft Defender, puedes configurar los ajustes de antivirus y detección y respuesta de endpoint (EDR) con las mismas políticas de seguridad de endpoint que utiliza Intune.

Para instrucciones detalladas, consulte Crear una política de seguridad para endpoints o Editar una política de seguridad para endpoint (los enlaces se abren en nuevas pestañas).

Antes de crear las políticas, configura la conexión entre Microsoft Defender para punto de conexión e Intune.

Cuando crees la directiva Antivirus de seguridad de puntos de conexión en la pestaña Directivas de macOS de la página Directivas de seguridad de puntos de conexión del portal de Defender en https://security.microsoft.com/policy-inventory?osPlatform=Mac, usa esta configuración específica:

• Seleccionar plataforma: Seleccionar macOS.
• Seleccionar plantilla: seleccione Microsoft Defender Antivirus.

Configura los ajustes antivirus que requiere tu organización. Luego, crea otra política con las siguientes configuraciones:

• Seleccionar plataforma: Seleccionar macOS.
• Seleccionar plantilla: seleccionar detección y respuesta en puntos de conexión.

9b. Establecer políticas en Microsoft Intune

Para crear este perfil, copie el código del Intune perfil recomendado (recomendado) o el perfil completo de Intune (para escenarios avanzados) y guarde el archivo como com.microsoft.wdav.xml.

Crea un perfil de configuración personalizado utilizando los ajustes comunes descritos en Crear perfiles de configuración de sistema. Utiliza estos ajustes específicos de perfil:

• Pestaña Conceptos básicos:
  • Nombre: escriba un nombre descriptivo, como macOS Microsoft Defender preferences.
• pestaña Configuración:
  • Nombre del perfil de configuración: Enter com.microsoft.wdav.
  • Canal de despliegue: Seleccionar canal de dispositivo.
  • Archivo de perfil de configuración: Selecciona el com.microsoft.wdav.xml archivo que has creado.

Para obtener más información, consulte Establecer preferencias para Microsoft Defender para punto de conexión en macOS.

Para obtener más información sobre cómo administrar la configuración de seguridad, consulte:

• Administrar Microsoft Defender para punto de conexión en dispositivos mediante Microsoft Intune
• Administrar la configuración de seguridad para Windows, macOS y Linux de forma nativa en Defender para punto de conexión

Paso 10: Protección de red para Microsoft Defender para punto de conexión en macOS (opcional)

Configura la protección de red en la política de Microsoft Defender Antivirus o en el perfil de preferencias de Defender para Endpoint que creaste en el paso 9.

Para requisitos, opciones de configuración y pasos de verificación, véase Protección de red para macOS.

Paso 11: Control de dispositivos para Microsoft Defender para punto de conexión en macOS (opcional)

Control de dispositivos requiere acceso total al disco para com.microsoft.dlp.daemon y configuraciones y políticas de control de dispositivos independientes. El fulldisk.mobileconfig perfil del paso 3 incluye el permiso requerido de Acceso Completo al Disco.

Para requisitos e instrucciones de configuración, consulte Control de dispositivos para macOS.

Paso 12: Publicación de la aplicación Microsoft Defender

Publica la aplicación de Microsoft Defender en los dispositivos inscritos en Intune. Para instrucciones detalladas, consulta Añadir Microsoft Defender para punto de conexión a dispositivos macOS usando Microsoft Intune (el enlace se abre en una nueva pestaña).

En la página Aplicaciones | Todas las aplicaciones del centro de administración de Microsoft Intune en https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/AppsMenu/~/allApps, selecciona Crear. En el panel Seleccionar tipo de aplicación, bajo Microsoft Defender para punto de conexión, selecciona macOS.

En el asistente Añadir aplicación, configura los siguientes ajustes:

• Pestaña Información de la aplicación: Mantenga los valores predeterminados.
• Pestaña de asignaciones : Asigna la aplicación a los grupos de usuarios o dispositivos que deberían recibirla.

Paso 13: Descargar el paquete de incorporación de Microsoft Defender para punto de conexión

Para descargar el paquete de incorporación desde el portal de Microsoft Defender:

1. En la página de Incorporación del portal de Microsoft Defender en https://security.microsoft.com/securitysettings/endpoints/onboarding, configura los siguientes ajustes:

   1. Seleccione el sistema operativo para iniciar el proceso de incorporación: Seleccione macOS.

   2. Tipo de conectividad: Verificar Streamlined está seleccionado.

   3. Método de despliegue: Seleccione Mobile Administración de dispositivos / Microsoft Intune.

      

2. Selecciona Descargar paquete de incorporación y guarda GatewayWindowsDefenderATPOnboardingPackage.zip.

3. Extrae el contenido del archivo ZIP para poder desplegarlo WindowsDefenderATPOnboarding.xml a través de Intune:

   unzip GatewayWindowsDefenderATPOnboardingPackage.zip
   

   Archive:  GatewayWindowsDefenderATPOnboardingPackage.zip
   warning:  GatewayWindowsDefenderATPOnboardingPackage.zip appears to use backslashes as path separators
    inflating: intune/kext.xml
    inflating: intune/WindowsDefenderATPOnboarding.xml
    inflating: jamf/WindowsDefenderATPOnboarding.plist
   

Paso 14: Desplegar el paquete de incorporación Microsoft Defender para punto de conexión para macOS

Este perfil contiene información de licencia para Microsoft Defender para punto de conexión.

Crea un perfil de configuración personalizado utilizando los ajustes comunes descritos en Crear perfiles de configuración de sistema. Utiliza estos ajustes específicos de perfil:

• Básico pestaña:
  • Nombre: escriba un nombre descriptivo, como Microsoft Defender para punto de conexión onboarding for macOS.
• pestaña Configuración:
  • Nombre del perfil de configuración: Introduce un nombre descriptivo para el perfil.
  • Canal de despliegue: Seleccionar canal de dispositivo.
  • Archivo de perfil de configuración: Selecciona el WindowsDefenderATPOnboarding.xml archivo que extrajiste del paquete de incorporación.

Paso 15: Comprobar el estado del dispositivo y la configuración

Paso 15a. Ver estado

Utiliza el informe de política en el centro de administración de Intune para ver el estado del check-in del dispositivo y del usuario:

1. En los Dispositivos | Página de configuración en el centro de administración de Intune en https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, seleccione una política.

2. En Estado de registro del dispositivo y del usuario, selecciona Ver informe.

Paso 15b. Inscribir un dispositivo cliente

Utiliza el Portal de empresa para inscribir el dispositivo macOS:

1. Sigue los pasos de Registrar tu Mac en Intune Portal de empresa.

2. Una vez completada la inscripción, verifica que el dispositivo esté listado en la página de Todos los dispositivos en el centro de administración de Intune en https://intune.microsoft.com/#view/Microsoft_Intune_Devices/DevicesMenu/~/allDevices.

Paso 15c. Comprobación del estado del dispositivo cliente

Verifica los perfiles y la app en el dispositivo gestionado:

1. Una vez instalados los perfiles de configuración, abre Ajustes del Sistema>General>Gestión de dispositivos en el dispositivo macOS.

2. Verifica que los perfiles de configuración para tu despliegue estén presentes e instalados:

   • accessibility.mobileconfig, si se despliega.
   • background_services.mobileconfig
   • bluetooth.mobileconfig, si se despliega.
   • com.microsoft.autoupdate2.mobileconfig
   • fulldisk.mobileconfig
   • Perfil de gestión, que es el perfil del sistema Intune.
   • WindowsDefenderATPOnboarding.xml, que es el paquete de incorporación de Defender para Endpoint.
   • netfilter.mobileconfig
   • notif.mobileconfig

3. Verifica que el icono de Microsoft Defender aparezca en la barra de menú.

   

Paso 16: Verificar la detección de antimalware

Realiza una prueba de detección antivirus para verificar que el dispositivo está integrado y está reportando correctamente.

Paso 17: Verificar la detección de EDR

Realiza una prueba de detección del EDR para verificar que la detección y respuesta en los endpoints funciona y genera informes correctamente.

Paso 18: Prevención de pérdida de datos de punto de conexión de Microsoft Purview para macOS (muy recomendable)

Para incorporar el dispositivo a Microsoft Purview y configurar la Prevención de Pérdida de Datos en Endpoints (DLP), consulte Empezar con Endpoint DLP.

Solución de problemas

• Problema: Defender for Endpoint informa que no se encontró ninguna licencia.
• Causa: La incorporación del dispositivo no está completa.
• Resolución: Descargue el paquete de incorporación tal como se describe en el paso 13 y despliegue como se describe en el paso 14.

Registro de problemas de instalación

Consulte el registro de problemas de instalación para encontrar el registro que el instalador crea automáticamente si se produce un error.

Para obtener información sobre los procedimientos de solución de problemas, consulte:

• Solucionar problemas de extensiones del sistema en Microsoft Defender para punto de conexión en macOS
• Solución de problemas de instalación de Microsoft Defender para punto de conexión en macOS
• Solución de problemas de licencia para Microsoft Defender para punto de conexión en macOS
• Solucionar problemas de conectividad con la nube de Microsoft Defender para punto de conexión en macOS
• Solucionar problemas de rendimiento de Microsoft Defender para endpoint en macOS

Desinstalar Defender para Endpoint

Consulta Desinstalar Defender para Endpoint en macOS para las instrucciones.